人民政協(xié)網(wǎng)北京3月8日電（記者 胡京春）“數(shù)字化轉(zhuǎn)型升級(jí)對(duì)軟件的依賴度提升，軟件安全變得十分重要，一旦受到影響，就會(huì)嚴(yán)重?fù)p害人民生產(chǎn)生活、社會(huì)經(jīng)濟(jì)活動(dòng)甚至國家安全，必須盡快采取措施保障軟件安全，從而保障數(shù)字化轉(zhuǎn)型進(jìn)程?！比珖f(xié)委員、哈爾濱安天科技股份有限公司董事長肖新光在提交的《關(guān)于加速推進(jìn)軟件安全工程相關(guān)工作的提案》中指出。
針對(duì)存在的問題，肖新光建議主管部門牽頭，建立對(duì)重點(diǎn)行業(yè)領(lǐng)域推動(dòng)軟件供應(yīng)鏈透明化機(jī)制，同時(shí)將對(duì)應(yīng)的檢測(cè)與驗(yàn)證能力作為關(guān)鍵軟件、設(shè)備和系統(tǒng)的強(qiáng)制要求。針對(duì)相關(guān)服務(wù)提供商制定安全監(jiān)管要求和標(biāo)準(zhǔn)，確保軟件產(chǎn)品（工件、制品）所用開源代碼、第三方庫等成分透明化，對(duì)這些源碼進(jìn)行安全性和合規(guī)性的評(píng)估，確保在發(fā)現(xiàn)開源代碼、第三方庫等安全漏洞時(shí)，能夠?qū)ζ溆绊懛秶M(jìn)行追蹤和排查；對(duì)應(yīng)用軟件發(fā)布版本增加強(qiáng)制性簽名要求，將內(nèi)置惡意代碼防護(hù)以及對(duì)威脅可溯源性的支撐要求變成強(qiáng)制要求。
建議工業(yè)和信息化部在加快軟件業(yè)開源生態(tài)構(gòu)建的同時(shí)，推動(dòng)軟件安全工程配套的開源軟件生態(tài)的全面境內(nèi)鏡像化專項(xiàng)工程（可用性保障），并建立對(duì)應(yīng)安全監(jiān)測(cè)機(jī)制。利用國家算力樞紐，由國家出資或補(bǔ)助，各級(jí)企業(yè)技術(shù)中心和工程技術(shù)研究中心參與，建設(shè)并主動(dòng)管理源代碼庫，實(shí)現(xiàn)開源代碼/功能模塊持續(xù)可用保障，對(duì)關(guān)鍵項(xiàng)目進(jìn)行持續(xù)代碼審計(jì)與安全檢測(cè)，全面評(píng)估其質(zhì)量和安全性，建立配套的自動(dòng)化、持續(xù)的風(fēng)險(xiǎn)監(jiān)控機(jī)制。
同時(shí)建議工業(yè)和信息化部成立專門責(zé)任機(jī)構(gòu)，通過資源配置引導(dǎo)、標(biāo)準(zhǔn)指南制定等措施，推動(dòng)安全保障優(yōu)先的安全軟件工程SecDevOps 方法成為軟件開發(fā)的通用實(shí)踐，將共性安全設(shè)計(jì)、通用安全模塊和配套檢驗(yàn)方法的工程實(shí)踐標(biāo)準(zhǔn)化。
